Follow the Rechtsstaat Folge 113

Im neuen Podcast sprechen Stefan Brink und Niko Härting zunächst
(ab Minute 01:01) in Querbeet über die chinesische KI DeepSeek,
welche in der Kritik steht: Die Verarbeitung von Nutzerdaten
(Eingabe von Prompts/Nutzungsdaten/Profile) widerspreche dem
EU-Datenschutz, Zugriff auf diese Nutzerdaten hätten auch
staatliche Stellen in China. Zudem ließe sich die App für
kriminelle Zwecke nutzen. Die italienische Aufsichtsbehörde hat die
App bereits verboten. Sodann geht es (ab Minute 09:51) um einen
befürchteten „bürokratischen Staatsstreich“ in den USA, das
„Department of Government Efficiency“ der Trump-Administration
richtet unter Elon Musk (Tesla/X/SpaceX) bereits massiven Schaden
an. Mit der Begründung, gegen Verschwendung, Korruption und
„Bürokratie“ vorgehen zu wollen, sichert sich Musk den Zugriff auf
sensible Personaldaten. US-AID, die Behörde für internationale
Entwicklungshilfe, wird de facto aufgelöst, von 10.000
Mitarbeitenden sollen noch 300 bleiben. Erste Gerichte greifen ein
und versuchen, eine Aushöhlung des Rechtsstaats zu verhindern. Auch
kurz angesprochen (ab Minute 15:30) wird eine Vorlageentscheidung
des BGH an den EuGH vor: Zu klären ist der Umfang der
Geschäftsführerhaftung für Kartellbußgelder – hier am Beispiel von
Kartellabsprachen in der Stahlindustrie, gegen die das
Bundeskartellamt Bußgelder in Höhe von 4,1 Millionen Euro gegen die
GmbH und in Höhe von 126.000 Euro gegen den Geschäftsführer
persönlich verhängte. Schließlich (ab Minute 19:26) stehen
Grundfragen des Datenschutzes vor dem Europäischen Gerichtshofs zur
Debatte (Rechtssache C-413/23): Der Generalanwalt legte am 6.2.2025
seinen Schlussantrag vor, verhandelt wird über das Urteil des EuG
1. Instanz vom 26.4.2023. In der Sache wirft der Europäische
Datenschutzbeauftragte EDSB dem SRB (Single Resolution Board,
einheitlicher Abwicklungsausschuss), der als Bankenaufsicht bei der
Abwicklung von Kreditinstituten tätig wird, die Verletzung
datenschutzrechtlicher Informationspflichten vor (vgl. Art. 13
DS-GVO, hier jedoch: Verordnung 2018/1725 zur Datenverarbeitung
durch EU-Organe). In einem denkbar einfach gelagerten Fall – ein
Dienstleister erhält pseudonymisierte Daten – entwickelt das EuG
die Theorie, dass der Personenbezug nicht absolut, sondern je nach
Empfänger der Daten relativ festzustellen sei – und beruft sich
dabei auf den EuGH (Breyer-Entscheidung vom 19.10.2016 zum
Personenbezug von IP-Adressen). In seinem Schlussantrag geht der GA
ebenfalls davon aus, dass pseudonyme Daten für den Datenverarbeiter
anonym sein können – was wohl mit dem Wortlaut von ErwGr 26 DS-GVO
kollidiert. Zur Krönung dieser Verwirrung geht der GA auch noch
davon aus, dass Informationspflichten des Verantwortlichen nicht
deswegen entfallen, weil die Daten für den Empfänger anonym sind
(anders als Art. 4 Nr. 9 DS-GVO). Handlungen des Verantwortlichen,
die keine Beeinträchtigung des Betroffenen auslösen können, sollen
also keinen Einfluss auf seine Pflichten haben? Na prima …
Grundfragen des Datenschutzes sind offensichtlich unklar und
ungeklärt – man möchte mit Dante angesichts dieses Blicks in den
Höllenschlund ausrufen: „Lasciate ogni speranza“ – Lasst alle
Hoffnung fahren …